Politica de confidențialitate

Prezenta Politică de confidențialitate explică modul în care BLACK SEA FOODIGNITY ASSOCIATION („Asociația”, „noi”) prelucrează datele cu caracter personal ale vizitatorilor site-ului, ale persoanelor care ne contactează prin formularul online și, dacă funcționalitatea este activată la lansare, ale abonaților la newsletter. Documentul este redactat în conformitate cu Regulamentul (UE) 2016/679 („GDPR”), Legea nr. 190/2018, Legea nr. 506/2004 și legislația aplicabilă serviciilor societății informaționale.

1. Cine este operatorul de date

Operatorul datelor cu caracter personal este BLACK SEA FOODIGNITY ASSOCIATION, cu sediul în Str. Johannes K. Kepler nr. 27, et. 1, ap. 2, Sector 2, București, România, CIF 34202594, înscrisă în Registrul Asociațiilor și Fundațiilor nr. 762/CC/2015. Site: https://blackseafoodignityassociation.ro/.

Pentru întrebări privind protecția datelor sau pentru exercitarea drepturilor prevăzute de GDPR, ne puteți contacta la: [ADRESĂ E-MAIL GDPR/CONTACT DE COMPLETAT]. Dacă Asociația va desemna un responsabil cu protecția datelor (DPO), datele acestuia vor fi publicate aici.

2. Principiile pe care le respectăm

• legalitate, echitate și transparență;
• limitarea scopului și evitarea utilizării datelor în scopuri incompatibile;
• reducerea la minimum a datelor colectate;
• exactitatea datelor și posibilitatea corectării acestora;
• limitarea perioadei de stocare;
• integritatea, confidențialitatea și securitatea datelor;
• responsabilitate și capacitatea de a demonstra conformitatea.

3. Ce date prelucrăm și în ce scop

3.1. Formularul de contact și corespondența

Prin formularul de contact pot fi colectate, în funcție de configurația finală: nume și prenume, adresă de e-mail, număr de telefon, subiectul solicitării, conținutul mesajului și date tehnice asociate transmiterii. Datele sunt furnizate direct de persoana care completează formularul.

Scopurile sunt: primirea și gestionarea solicitării, comunicarea cu persoana interesată, documentarea corespondenței și, după caz, efectuarea demersurilor solicitate înaintea încheierii unui raport juridic sau de colaborare.

Temeiul juridic este, după natura solicitării: art. 6 alin. (1) lit. b) GDPR, când cererea vizează demersuri precontractuale sau o posibilă colaborare; art. 6 alin. (1) lit. f) GDPR, pentru gestionarea comunicărilor generale și protejarea intereselor legitime ale Asociației; sau art. 6 alin. (1) lit. c) GDPR, dacă păstrarea ori comunicarea unor informații este necesară pentru îndeplinirea unei obligații legale.

Nu solicităm consimțământ GDPR pentru simpla transmitere a unui mesaj prin formular, deoarece prelucrarea necesară pentru a primi și soluționa solicitarea are, de regulă, un alt temei juridic. În formular va exista însă o informare scurtă și un link către prezenta politică.

Mesajele pot fi transmise către adresa de e-mail a Asociației și pot fi stocate în baza de date WordPress/panoul de administrare, cu acces limitat persoanelor desemnate.

3.2. E-mail automat de confirmare

Dacă este activată confirmarea automată a primirii mesajului, adresa de e-mail și datele strict necesare sunt utilizate pentru transmiterea acestei confirmări. Confirmarea nu este folosită pentru marketing și nu înscrie automat persoana la newsletter.

3.3. Newsletter și comunicări informative

Dacă funcționalitatea de newsletter este activă la lansare, putem prelucra adresa de e-mail și, dacă formularul o solicită, numele, precum și informații necesare pentru demonstrarea consimțământului (de exemplu data și ora abonării, sursa/formularul și date tehnice asociate). Scopul este transmiterea de noutăți, informații despre activitățile, proiectele, campaniile și evenimentele Asociației.

Temeiul juridic este consimțământul – art. 6 alin. (1) lit. a) și art. 7 GDPR – coroborat, pentru comunicările electronice nesolicitate, cu art. 12 din Legea nr. 506/2004. Abonarea trebuie să fie separată de formularul de contact și nu trebuie să fie o condiție pentru transmiterea unei solicitări.

Recomandăm și configurarea double opt-in, astfel încât abonarea să fie confirmată printr-un mesaj separat. Persoana se poate dezabona oricând, gratuit și ușor, prin linkul inclus în fiecare newsletter sau printr-o solicitare transmisă Asociației. Retragerea consimțământului nu afectează legalitatea prelucrării anterioare retragerii.

Dacă funcțiile de urmărire a deschiderii mesajelor sau a accesării linkurilor (open/click tracking) sunt activate în Brevo, această prelucrare va fi descrisă suplimentar și configurată numai după evaluarea necesității și a temeiului juridic corespunzător.

3.4. Securitatea site-ului și Google reCAPTCHA v3

Pentru protejarea formularelor împotriva roboților, spamului, fraudei și abuzului, site-ul poate utiliza Google reCAPTCHA v3. În acest context pot fi prelucrate date tehnice precum adresa IP, informații despre browser/dispozitiv, interacțiuni cu pagina și alte semnale de securitate necesare evaluării automate a riscului.

Scopul prelucrării este securitatea site-ului și prevenirea abuzului. Începând cu 2 aprilie 2026, pentru Customer Data prelucrate prin reCAPTCHA, Google declară că acționează ca persoană împuternicită, iar clientul reCAPTCHA rămâne operator. Configurația și documentația contractuală Google Cloud trebuie menținute actualizate.

Temeiul GDPR urmărit de Asociație pentru datele necesare securității este art. 6 alin. (1) lit. f) GDPR – interesul legitim de a proteja infrastructura, formularele și utilizatorii împotriva accesului automatizat abuziv. Regimul stocării/accesului pe terminal va fi tratat separat prin politica de cookie-uri și configurația tehnică a mecanismului de consimțământ, în funcție de caracterul strict necesar al tehnologiei.

3.5. Loguri tehnice ale serverului

Serverele pot genera loguri tehnice care includ, după caz, adresa IP, data și ora accesării, resursa solicitată, coduri de răspuns, identificatori tehnici și informații despre browser/dispozitiv. Aceste date sunt utilizate pentru securitate, diagnosticarea incidentelor, prevenirea atacurilor și asigurarea funcționării site-ului. Temeiul juridic este art. 6 alin. (1) lit. f) GDPR. Conform informațiilor tehnice primite, logurile care pot conține adrese IP sunt păstrate 90 de zile.

3.6. Google Analytics

Dacă Google Analytics va fi activat la lansare, acesta va fi utilizat pentru măsurarea audienței și înțelegerea modului agregat în care este folosit site-ul. Activarea tehnologiilor neesențiale asociate Analytics va avea loc numai după exprimarea opțiunii utilizatorului prin platforma de gestionare a consimțământului, conform configurației finale Complianz.

Temeiul juridic pentru prelucrarea bazată pe cookie-uri/identificatori neesențiali este consimțământul, art. 6 alin. (1) lit. a) GDPR, coroborat cu art. 4 alin. (5) din Legea nr. 506/2004. Recomandăm o perioadă de retenție Analytics limitată (de exemplu 14 luni), dezactivarea funcțiilor de publicitate dacă nu sunt necesare și implementarea unei configurații în care tagurile de analiză să nu transmită date înainte de consimțământ.

3.7. Videoclipuri YouTube încorporate

Dacă paginile site-ului includ videoclipuri YouTube, încărcarea conținutului extern poate determina transmiterea de date către Google/YouTube și utilizarea unor tehnologii de stocare sau acces pe dispozitiv. Recomandăm utilizarea modului privacy-enhanced, acolo unde este disponibil, și blocarea încărcării conținutului până la consimțământ pentru categoria relevantă. Utilizatorul trebuie să poată refuza și să poată modifica ulterior alegerea.

4. Cookie-uri și tehnologii similare

Site-ul utilizează o platformă de gestionare a consimțământului (Complianz). Cookie-urile și tehnologiile strict necesare pot fi utilizate fără consimțământ în limitele permise de lege, iar cele neesențiale – de exemplu cele de analiză sau anumite tehnologii asociate conținutului terț – trebuie blocate înainte de consimțământ. Informații detaliate sunt disponibile în Politica de cookie-uri și în panoul de preferințe.

5. Cui divulgăm datele

Datele sunt accesibile numai în măsura necesară. Categoriile de destinatari/persoane împuternicite pot include:

• persoanele desemnate de Asociație care gestionează comunicările și administrarea site-ului;
• Hosterion, în calitate de furnizor de hosting și servicii tehnice, pentru operațiuni de găzduire, mentenanță și suport;
• M247 București, în măsura în care intervine în infrastructura centrului de date conform arhitecturii serviciului de hosting;
• Brevo, dacă newsletterul este activ, pentru gestionarea listelor și expedierea comunicărilor;
• Google, pentru serviciile reCAPTCHA și, dacă sunt activate, Analytics și YouTube, potrivit rolului juridic aplicabil fiecărui serviciu;
• furnizori de servicii IT, securitate, backup sau consultanță, atunci când accesul este necesar și există garanții contractuale corespunzătoare;
• autorități publice, instanțe sau alte entități, numai atunci când divulgarea este impusă sau permisă de lege.

Asociația va încheia/menține, atunci când este necesar, acorduri de prelucrare a datelor conform art. 28 GDPR și va limita accesul furnizorilor la ceea ce este necesar pentru serviciile contractate.

6. Unde sunt stocate datele și transferurile internaționale

Conform informațiilor tehnice disponibile, site-ul este găzduit prin Hosterion, iar datele site-ului sunt stocate pe servere din România, în centrul de date M247 București. Mesajele formularului pot exista atât în infrastructura de e-mail, cât și în baza de date WordPress.

Anumiți furnizori globali, în special Google și, după caz, furnizorii lor/subîmputerniciții, pot implica prelucrarea sau accesul la date din afara Spațiului Economic European. În aceste situații, transferurile trebuie să se bazeze pe un mecanism recunoscut de GDPR, precum o decizie de adecvare aplicabilă, Clauze Contractuale Standard și/sau alte garanții prevăzute la capitolul V GDPR. Configurația efectivă și lista subîmputerniciților trebuie verificate periodic.

7. Cât timp păstrăm datele

Perioadele de mai sus aplică principiul limitării stocării. Înainte de lansare, Asociația trebuie să confirme formal retenția pentru mesajele de contact și backup-uri, iar setările tehnice trebuie aliniate cu această politică.

8. Este obligatoriu să furnizați datele?

Datele marcate ca obligatorii în formular sunt necesare pentru transmiterea și gestionarea solicitării. Recomandarea noastră este ca numărul de telefon să fie opțional, dacă nu există o necesitate operațională reală care să justifice colectarea lui obligatorie. Necompletarea câmpurilor obligatorii poate împiedica transmiterea formularului. Furnizarea datelor pentru newsletter este întotdeauna voluntară.

9. Decizii automatizate și profilare

Asociația nu utilizează datele colectate prin site pentru luarea unor decizii exclusiv automatizate care să producă efecte juridice sau efecte similare semnificative asupra persoanelor. reCAPTCHA poate realiza o evaluare automată a riscului de spam/abuz pentru protejarea formularului; aceasta are un scop tehnic de securitate și nu este utilizată pentru evaluarea persoanei în alte scopuri.

10. Securitatea datelor

Aplicăm și solicităm furnizorilor măsuri tehnice și organizatorice adecvate riscului, inclusiv controlul accesului, actualizarea platformei și pluginurilor, protecția conturilor administrative, conexiuni securizate, copii de siguranță, monitorizare tehnică, limitarea privilegiilor și proceduri de gestionare a incidentelor. Accesul intern trebuie acordat numai persoanelor care au nevoie de date pentru atribuțiile lor.

11. Drepturile persoanelor vizate

În condițiile GDPR, puteți beneficia, după caz, de:

• dreptul de acces la date și la informații privind prelucrarea;
• dreptul la rectificarea datelor inexacte;
• dreptul la ștergerea datelor, atunci când sunt îndeplinite condițiile legale;
• dreptul la restricționarea prelucrării;
• dreptul la portabilitate, în cazurile prevăzute de art. 20 GDPR;
• dreptul la opoziție față de prelucrările întemeiate pe interes legitim;
• dreptul de a retrage consimțământul în orice moment, pentru prelucrările întemeiate pe consimțământ;
• dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată, în condițiile art. 22 GDPR;
• dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și dreptul la o cale de atac judiciară.

Vom răspunde solicitărilor fără întârzieri nejustificate și, în principiu, în termen de o lună de la primire, cu posibilitatea prelungirii în condițiile GDPR. Putem solicita informații suplimentare strict necesare pentru verificarea identității solicitantului.

12. Date referitoare la copii

Site-ul nu este proiectat pentru colectarea intenționată de date de la copii prin conturi, comentarii, donații sau alte funcționalități dedicate. Dacă aflăm că au fost furnizate nejustificat date ale unui minor prin formular, vom analiza și, după caz, vom limita ori șterge datele în conformitate cu legea. Conținutul public al site-ului trebuie gestionat separat astfel încât publicarea de imagini/date despre persoane să aibă un temei juridic corespunzător.

13. Linkuri și servicii externe

Site-ul poate conține linkuri către platforme sau site-uri operate de terți. Prelucrarea realizată după accesarea acelor servicii este guvernată și de regulile operatorilor respectivi. Încorporarea directă a conținutului terț în pagină va fi configurată astfel încât să respecte alegerile utilizatorului privind cookie-urile și tehnologiile neesențiale.

14. Modificarea politicii

Putem actualiza această politică pentru a reflecta modificări legislative, tehnice sau operaționale. Versiunea în vigoare va fi publicată pe site, cu indicarea datei ultimei actualizări. Modificările importante vor fi semnalate într-o manieră adecvată.

15. Contact